이용자 개인정보 가명처리 정지 요구권 확인한 법원 판결 환영한다{/}[보도자료] SKT의 개인정보 가명처리의 정지를 요구하는 항소심 승소 기자회견

[진보네트워크센터 오병일 대표- 소 제기에 이른 경과] 

• 2020년 1월, 데이터 3법 통과 : 이용자의 동의없이 개인정보를 가명처리만 하면 기업들의 상업적 연구 목적으로 활용하거나 제3자에게 제공할 수 있도록 허용함. 
• 2020.9. 시민사회 활동가들은 SKT, KT, LG유플러스 등 3개 통신사를 대상으로 개인정보 열람 및 처리정지 청구를 신청
  • 즉, 통신사가 보유하고 있는 내 개인정보를 과학적 연구 목적으로 활용하기 위해 처리하지 말아달라는 것 (개인정보보호법 제37조 개인정보 처리정지권 행사) 
  • 통신 3사 모두 거부
  • SKT의 경우 가명정보에 대해서는 개보법에 의해 열람청구 및 처리정지권이 제한된다고 답변.
• 통신사 답변 거부에 대한 대응 
  • KT에 대해서는 개인정보 분쟁조정 (2020.12.7)
  • LGU+에 대해서는 개인정보침해신고센터에 신고 
  • SKT에 대해서는 열람청구 및 처리정지이행소송 제기 (2021.2.8) 
• KT에 대한 개인정보 분쟁조정 결과 
  • 2021.3.29. 개인정보 분쟁조정위는 “피신청인(KT)은 조정성립일로부터 6주 이내에 신청인에게 기지국 접속정보를 포함한 개인정보 실제 내용의 열람 조치 및 신청인의 개인정보에 대한 가명처리 정지 조치를 이행”할 것을 주문하는 조정 결정을 내림. 이 조정을 KT가 수락함으로써 4월 13일 조정이 성립함.
  • 즉, 이용자가 수용 불가능한 것을 요구하고 있는 것이 아니며, KT는 수용한 것에 대해 LGU+나 SKT 등 다른 통신사들은 수용하지 않고 있는 것임.  
• LGU+에 대한 개인정보 침해신고 결과 
  • 2022.7.18. 1년 이상의 긴 시간이 흐른 후에 피신고인(LGU+)이 홈페이지를 통해 열람 및 처리정지 방법에 대해 안내하고 있다며, 법위반이 아니라고 답변함. 
  • 침해신고에 대한 답변이 1년 이상 지체된 점, 실제로 신고인의 권리가 보장되지 않았음에도 불구하고 제대로 처리하지 않은 점에서, 개인정보 침해신고센터 시스템이 제대로 작동하고 있지 않고 있음을 확인함. 
• SKT에 대한 소송 결과 
  • 2023. 1. 19. 서울중앙지방법원 1심 승소. 정보주체의 처리정지권 인정.
  • 2023.12.20. 항소심 판결 예정 
  • 모든 사람들이 자신의 권리가 보장되지 않는다는 이유로 소송을 제기하기는 힘들 것. 따라서 이 소송의 결과는 매우 중요함. 이미 개인정보 분쟁조정위원회도 이용자의 손을 들어줌. 
  • 이용자의 권리 보장을 거부한 SKT는 매우 나쁜 기업임.

[민변 디지털정보위원회 최호웅 변호사 – 사건의 쟁점과 판결의 의의] 

혹자는 다른 정보를 알 수 없는 가명정보를 만든 것이, 오히려 자신의 정보를 보호해주고 있는 것이 아닌가 생각할 수도 있습니다. 그래서 좀 더 명확하게 말씀드리고자 합니다. 

2020년 개인정보보호법 개정을 통해서 통계 작성, 과학적 연구, 공익적 기록 보전을 목적으로 해서 가명정보를 처리할 수 있다는 규정이 통과가 됩니다. 원래 개인정보를 처리하는 경우 목적 범위 내에서만 처리하겠다고 고지하여야 하고, 그러한 점에 대해서 정보주체가 동의하여 목적 범위 내에서만 개인정보가 활용될 수 있습니다. 그런데 개정을 통해 개인정보 처리자는 그러한 목적을 제시하고 동의를 받지 않았어도, 통계 작성, 과학적 연구, 공익적 기록 보전 목적으로 가명정보를 활용하니까 정보주체는 어떠한 통지권도 없는 상태에서 개인정보처리자는 이용하고, 제3자에게 제공하고, 또 다른 목적으로 활용될 수 있게 된 것입니다. 그런데, 정보주체 입장에선 비록 그 세 가지 목적을 가지고 활용이 된다 하더라도 정보주체 스스로 나는 활용되는 것이 싫다, 거부하고 싶다 라고 생각할 수 있습니다. 이런 정보주체의 권리는 어떻게 보호될 수 있을까라는 문제의식으로부터 소송이 시작됐습니다.

즉 개보법 제28조의2 특례규정 가명정보 활용에 대한 통제수단으로서 정보주체가 처리자에게 개인정보의 처리 정지를 요구할 수 있는 권리가 있다고 생각하여, 개인정보처리자인 피고에게 사전에 정지할 것을 요구해보자 한 것이 청구취지였던 것입니다. 

만약 정보주체에게 가명정보의 활용이 자유롭게 이루어질 수 있다 하더라도, 아직 가명처리되지 않은 정보에 대해선 정보주체에게 처리정지요구권을 인정 해야만하고, 이를 인정하지 않는 것은 헌법상 기본권으로 보장되어있는 개인정보자기결정권을 심대하게 침해할 수 있다는 것이 1심 판결의 요지였습니다. 이에 대해서 피고인 SK텔레콤은 항소를 하였고, 항소심에서 쟁점이 된 내용에 대해 말씀드리겠습니다. 

이러한 처리정지권의 요구에 대해 피고의 주요 주장은 다음과 같습니다. 가명정보와 가명처리는 구분되지 않는다. 즉, 28조의 2에 의해서 가명정보로 만들면 목적 범위 내에서 동의 없이 자유롭게 활용할 수 있게 한 것이 입법취지 및 입법 목적이다. 특례 규정 조항에 의해서 가명정보에 대해서는 정보주체의 개입권을 적용 제외를 하여야 하고, 그 중에는 제37조 처리정지권이 포함되어있는 것이다. 따라서, 가명 정보와 가명처리는 구분되지 않으므로 가명정보에 대해서는 처리정지권이 인정되지 않기 때문에 처리정지권 요구는 받아들여서는 안된다는 주장을 하였습니다. 

판결문을 받고 상세히 확인을 하여야 하지만, 2심 재판부는 가명정보와 가명처리는 명백히 구분되는 것이고, 피고의 주장은 받아들일 수 없다는 부분을 명확히 해 주신 것 같습니다. 또한 개보법 제28조의 7에서 가명정보처리에 관한 특례에 있어서는 정보주체의 많은 권리를 제한하고 있습니다. 이에 대해서 사전에 고지해야 한다든지, 삭제권 등 개보법에서 보장하고 있는 정보주체의 권리들을 제한하고 있습니다. 그런데 이런 가명정보에 가명처리가 포함된다는 피고의 주장에 대하여 2심 재판부는 이 둘은 명백히 구분되는 개념임을 전제로 하여, 제28조의 7에 있어서 가명정보는 이미 가명처리 된 상태에서는 정보주체의 권리에 배제될 수 있을진 몰라도, 저희가 주장하는 바와 같이 아직 가명처리가 되지 않은 개인정보에 대해서는 처리정지권을 배제할 수 있는 가명정보에 포함될 수 없다는 점을 받아들인 것으로 보입니다. 

그리고 피고 측에서는 제28조의2 규정에서 가명정보를 활용할 수 있게 한 것이 입법취지이고, 가명처리가 당연히 전제되어야 하는 상황이기 때문에 이 입법취지의 목적을 달성하기 위하여는 정보주체에게 처리정지권을 인정해서는 안된다고 주장을 해왔습니다. 하지만 1심 판결과 같이 가명정보로 가명화시켜 정보주체 동의 없이 활용을 할 수 있다고 하더라도, 그것만으로 과연 개인정보보호법에서 보장하고 있는 개인정보주체의 권리를 제한 할 수 있는 근거가 될 수 있냐, 이 부분에 대해서 계속 문제제기를 해왔습니다. 정보 주체의 동의 없이 가명정보를 활용할 수 있다는 점과, 그 과정에서 정보주체에게 어떤 권리를 보장해야 하는지, 어떤 권리를 제한할 수 있는지는 입법 정책의 문제이고 현재까지 우리나라 개보법 제28조의7도 그렇고, 문언상으로도 가명정보로 처리되기 전, 일반 개인정보 형태로 있는 상태에서는 처리정지권을 막을 수 있는 근거는 어디에도 없다고 주장하였고, 이 부분도 받아들여진 것으로 보입니다. 중요한 것은 입법목적이라는 것이, 최근 헌법재판소 판시와 같이 가명정보 활용을 위해 권리를 제한하는 것이 입법 목적이 아니라, 가명정보는 특성상 식별이 불가능한 상태인데, 정보주체가 권리를 행사할 때 정보의 식별이 가능해야 한 것이기 때문에 정보주체의 권리가 일정정도 제한될 수 있다는 것입니다. 

따라서 이미 가명정보로 처리된 것과 달리, 개인정보 형태로 되어 있는 것은 정보주체의 처리정지요구권부터 여러 권리행사 부분에 있어 어떠한 지장도 없다는 것을 명확히 한 것입니다. 이번 판결의 의미는, 자신의 정보가 제28조의2 이 가명정보 활용 틀 안에서 과연 어떠한 권리행사도 할 수 없는 것인가라는 문제의식으로부터 시작되었고, 사전에 개보법에서 당연히 보장하고 있는 처리정지요구권을 행사할 수 있는, 권리를 명확히 확인했다는 점에서 이 판결의 의미는 대단히 클 것이라고 생각합니다.

[참여연대 이지은 간사 – 처리정지요구권 행사의 중요성]

열람청구권, 처리정지권은 가장 기본적인 정보주체의 권리입니다. 

내 정보가 어떻게 처리되고 있는지 열람할 수 없고, 필요시 처리정지권을 요구할 수 없다면 개인정보처리자인 기업의 손에 일단 개인정보가 넘어간 이후에는 정보주체가 통제하거나 감시할 수 있는 수단이 전혀 없는 것이나 마찬가지입니다. 

특히 이용자의 동의없이 영리적 목적으로 이용자의 개인정보를 가명처리하는 것도 이용자의 권리를 제한하는 것인데, 이를 원하지 않는 이용자의 처리정지권을 행사하는 것은 그야말로 가명정보에 대한 정보주체의 최소한의 통제장치일 것입니다.

가명정보의 특례가 도입되면서, 정보주체가 동의하지 않아도 과학적 목적, 통계작성, 공익적기록보존 목적으로 가명정보를 활용할 수 있습니다. 그런데 과학적 목적의 범위가 너무 포괄적이라 사실상 기업들이 고객의 개인정보를 제한없이 자유롭게 활용할 있게 되었습니다. 내가 원하지 않더라도 기업들이 과학적 연구목적이라며 가명처리된 가명정보를 마음껏 사고 팔수 있게 된 것이죠. 이에 이용자들이 처리정지를 요구할 수조차 없다면, 내 개인정보이면서, 결과적으로 내가 전혀 통제할 수 없다는 이율배반적 상황에 직면하게 되는 것입니다. 

따라서 처리정지권은 이와 같이 그나마 빅데이터 시대, 개인정보가 기업의 이윤창출의 원료가 되는 시대에 자신에 관한 정보가 언제 누구에게 어느 범위까지 알려지고 또 이용되도록 할 것인지를 그 정보주체가 스스로 결정할 수 있는 권리인 개인정보자기결정권을 보장하는 권리라고 할 것입니다.